Password manager: come scegliere quello più sicuro per proteggere account e dati
Un password manager conserva credenziali, note riservate, codici di recupero e dati di pagamento in un archivio cifrato. Il suo vantaggio pratico è semplice: consente di usare una password diversa, lunga e casuale per ogni servizio, senza doverla ricordare. La sicurezza complessiva dipende però dalla qualità del gestore, dalla password principale e dalle impostazioni dell’utente.
La scelta richiede un controllo concreto di quattro aspetti: cifratura dell’archivio, compatibilità con dispositivi e browser, modalità di condivisione e limiti del piano gratuito. Un’app comoda ma priva di autenticazione a due fattori, oppure un servizio completo che non funziona sul proprio sistema, crea compromessi evitabili.
Come funziona un password manager
Il programma crea un archivio protetto, chiamato anche cassaforte digitale. All’interno salva indirizzi dei siti, nomi utente, password, passkey, carte e note. L’accesso avviene con una password principale: è l’unica credenziale che va memorizzata e difesa con particolare cura.
I gestori più affidabili adottano un’architettura a conoscenza zero. In pratica, la cifratura e la decifratura avvengono sul dispositivo dell’utente; il fornitore conserva dati cifrati e non dovrebbe conoscere la password principale. Questa caratteristica va verificata nelle informazioni tecniche del servizio, insieme all’algoritmo di cifratura e al metodo usato per derivare la chiave dalla password principale, come Argon2id o PBKDF2.
Un password manager può essere collegato a più dispositivi attraverso la sincronizzazione cifrata. È utile per passare dal computer allo smartphone senza esportare file o inviare password via messaggio. Chi preferisce il controllo locale può valutare un gestore con archivio offline: richiede però una procedura disciplinata per la copia di sicurezza e la sincronizzazione.
Sicurezza: le funzioni da controllare prima dell’installazione
La presenza della cifratura non basta. Due prodotti possono dichiarare la stessa protezione di base e offrire livelli molto diversi nella gestione quotidiana. Questi sono i controlli più utili.
- Password principale robusta: usare una frase lunga, esclusiva e non riutilizzata. Una sequenza di almeno quattro o cinque parole non correlate è più gestibile di una password corta piena di simboli.
- Autenticazione a due fattori: attivarla con un’app che genera codici temporanei o, meglio, con una chiave di sicurezza fisica compatibile. L’SMS resta una soluzione meno resistente alla sottrazione del numero.
- Sblocco biometrico locale: impronta o riconoscimento del volto velocizzano l’accesso su smartphone e computer. Devono affiancare, non sostituire, la password principale.
- Blocco automatico: impostare pochi minuti di inattività, soprattutto su notebook condivisi o dispositivi portatili.
- Avvisi sulle credenziali deboli: il controllo deve individuare password duplicate, compromesse o troppo brevi e indicare il sito da aggiornare.
- Passkey: verificare il salvataggio e l’uso delle passkey, utili per ridurre l’esposizione a siti contraffatti e password intercettate.
- Recupero dell’account: leggere prima la procedura. Un recupero troppo semplice può indebolire la protezione; uno troppo rigido può rendere impossibile rientrare nella cassaforte dopo la perdita dei dispositivi.
La password principale non va inserita in moduli, messaggi o richieste ricevute via posta elettronica. Un gestore affidabile la richiede soltanto nella propria app, estensione o pagina ufficiale.
Password manager nel browser, nel sistema o dedicato
Esistono tre soluzioni principali. Ognuna risponde a un’esigenza diversa e presenta limiti da conoscere.
| Tipologia | Caratteristiche | Quando conviene | Limiti da valutare |
|---|---|---|---|
| Integrato nel browser o nell’account | Salvataggio automatico, compilazione rapida, sincronizzazione con lo stesso ecosistema. | Uso personale concentrato su Chrome, Android, Safari, Edge o un solo account principale. | Compatibilità meno uniforme tra browser e piattaforme, condivisione spesso essenziale. |
| Servizio dedicato in abbonamento | App per più sistemi, estensioni, controllo sicurezza, condivisione e assistenza. | Più dispositivi, famiglia, lavoro ibrido e necessità di separare dati personali e professionali. | Costo ricorrente e funzioni che possono variare tra piano gratuito e piano a pagamento. |
| Archivio locale open source | File cifrato controllato dall’utente, possibilità di usare servizi di sincronizzazione scelti in autonomia. | Utenti esperti che vogliono gestire file, copie di sicurezza e aggiornamenti. | Configurazione meno immediata, condivisione e recupero da pianificare con attenzione. |
Google Password Manager è pratico per chi usa Android e Chrome con lo stesso account. Un gestore indipendente come Bitwarden, 1Password, Dashlane o Proton Pass tende a offrire più strumenti per famiglie, condivisione e uso trasversale. KeePassXC rappresenta invece un riferimento per l’archivio locale. Le funzionalità e i limiti cambiano nel tempo: prima di migrare, controllare sempre la pagina del piano scelto e le piattaforme effettivamente supportate.
Compatibilità multipiattaforma: cosa verificare
La compatibilità va valutata sui dispositivi realmente usati, non sulla sola presenza dell’app nello store. Un buon password manager deve funzionare con continuità tra Windows, macOS, Linux, Android e iOS, quando necessari, e offrire estensioni aggiornate per i browser abituali.
- Verificare l’autocompilazione su Chrome, Firefox, Edge, Safari e altri browser in uso.
- Provare il salvataggio di un nuovo accesso e la compilazione su un sito con autenticazione a due fattori.
- Controllare se l’app mobile compila credenziali anche nelle applicazioni, non soltanto nel browser.
- Accertarsi che passkey, codici temporanei e allegati siano disponibili su tutte le piattaforme necessarie.
- Valutare la gestione offline: serve quando si viaggia, si lavora senza rete o si conserva un archivio locale.
Il passaggio a un nuovo smartphone è un momento delicato. Prima di iniziare, aggiornare il gestore, verificare l’accesso con la password principale e conservare i codici di recupero fuori dal telefono. La procedura per trasferire dati da Android a Android senza perdite aiuta a pianificare anche il ripristino delle applicazioni di sicurezza.
Condivisione di password: famiglia, lavoro e accessi temporanei
Inviare una password in chat, anche se il messaggio viene cancellato, lascia una traccia difficile da controllare. La condivisione interna al password manager è preferibile perché evita di mostrare la credenziale in chiaro e consente di revocare l’accesso.
Per una famiglia, servono raccolte condivise con permessi distinti: per esempio servizi domestici, streaming e utenze. Per un team, occorrono ruoli chiari: amministratore, modifica, sola lettura e accesso temporaneo. Un buon servizio permette di revocare un membro senza modificare manualmente tutte le password, anche se per gli account più sensibili resta prudente cambiare la credenziale dopo l’uscita di un collaboratore.
Non condividere la password principale. Ogni persona deve avere il proprio account, protetto da autenticazione a due fattori. Questa regola vale anche per un dispositivo acquistato di seconda mano: dopo aver configurato un iPhone ricondizionato, creare un profilo personale pulito e verificare che non restino account o dati del proprietario precedente.
Piano gratuito o abbonamento: il confronto utile
Un piano gratuito può bastare a chi deve gestire credenziali personali su pochi dispositivi. Va esaminato oltre la promessa di “password illimitate”: alcuni servizi limitano la sincronizzazione, le raccolte condivise, gli allegati, il controllo delle violazioni o l’uso delle chiavi di sicurezza.
L’abbonamento ha senso quando serve una condivisione strutturata, un uso familiare, più opzioni di recupero, assistenza diretta o gestione di dati aziendali. Il rapporto qualità-prezzo dipende dalle funzioni usate ogni giorno. Pagare per strumenti mai configurati non migliora la sicurezza.
- Creare un elenco di dispositivi, browser e persone che devono accedere alle credenziali.
- Selezionare due o tre gestori compatibili con quell’elenco.
- Provare importazione, autocompilazione, sincronizzazione e blocco automatico.
- Attivare autenticazione a due fattori e generare codici di recupero.
- Importare le password dal browser solo dopo aver testato l’accesso su almeno due dispositivi.
- Eliminare le credenziali salvate nel browser quando la migrazione è verificata, per ridurre duplicati e confusione.
Password manager: cosa verificare prima della scelta
Il password manager più adatto è quello che si usa con regolarità su ogni dispositivo, mantiene l’archivio cifrato, riceve aggiornamenti frequenti e offre un recupero dell’account comprensibile. Per uso individuale nell’ecosistema di un solo produttore può essere sufficiente un gestore integrato. Per dispositivi misti, accessi condivisi o dati di lavoro, un servizio dedicato offre in genere maggiore controllo.
Prima di affidargli tutte le credenziali, eseguire una prova con account secondari. Verificare l’accesso da computer e smartphone, simulare la perdita di un dispositivo e controllare la revoca di una condivisione. Questi test misurano la sicurezza reale molto meglio di una lunga lista di funzioni.